2017.4.12 開濤shiro教程-第十八章-並發登錄人數控制

原博客地址：http://jinnianshilongnian.iteye.com/blog/2018398

根據下載的pdf學習。

 

開濤shiro教程-第十八章-並發登錄人數控制

shiro中沒有提供默認實現，不過可以很容易實現。通過shiro filter機制拓展KickoutSessionControllerFilter。

kickoutSessionControllerFilter  ->  將這個filter配置到shiro的配置文件中 -> 遇到的一些問題。

 

示例代碼的結構：

 

1.配置spring-config-shiro.xml

（1）kickoutSessionControllerFilter

kickoutAfter：是否提出后來登錄的，默認為false，即后來登錄的踢出前者。

maxSession：同一個用戶的最大會話數，默認1，表示同一個用戶最多同時一個人登錄。

kickoutUrl：被踢出后重定向的地址。

<bean id="kickoutSessionControlFilter"
　　  class="com.github.zhangkaitao.shiro.chapter18.web.shiro.filter.KickoutSessionControlFilter">
　　<property name="cacheManager" ref="cacheManager"/>
　　<property name="sessionManager" ref="sessionManager"/>
　　<property name="kickoutAfter" value="false"/>
　　<property name="maxSession" value="2"/>
　　<property name="kickoutUrl" value="/login?kickout=1"/>
</bean>

 

（2）shiroFilter

此處配置除了登錄等之外的地址都走 kickout 攔截器進行並發登錄控制。

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
　　<property name="securityManager" ref="securityManager"/>
　　<property name="loginUrl" value="/login"/>
　　<property name="filters">
　　　　<util:map>
　　　　　　<entry key="authc" value-ref="formAuthenticationFilter"/>
　　　　　　<entry key="sysUser" value-ref="sysUserFilter"/>
　　　　　　<entry key="kickout" value-ref="kickoutSessionControlFilter"/>
　　　　</util:map>
　　</property>
　　<property name="filterChainDefinitions">
　　　　<value>
　　　　　　/login = authc
　　　　　　/logout = logout
　　　　　　/authenticated = authc
　　　　　　/** = kickout,user,sysUser
　　　　</value>
　　</property>
</bean>

 

（3） ehcache.xml

這里的名稱在后面的kickoutController里要用到。

    <cache name="shiro-kickout-session"
           maxEntriesLocalHeap="2000"
           eternal="false"
           timeToIdleSeconds="3600"
           timeToLiveSeconds="0"
           overflowToDisk="false"
           statistics="true">
    </cache>

 

2.KickoutSessionControllerFilter

此處，使用了Cache緩存"用戶名-會話id"之間的關系，如果量比較大的話，可以考慮持久化到數據庫/其他持久化的Cache中。

另外，此處沒有並發控制的同步實現，可以考慮根據用戶名來獲取鎖，減少鎖的粒度。

package com.github.zhangkaitao.shiro.chapter18.web.shiro.filter;

import org.apache.shiro.cache.Cache;
import org.apache.shiro.cache.CacheManager;
import org.apache.shiro.session.Session;
import org.apache.shiro.session.mgt.DefaultSessionKey;
import org.apache.shiro.session.mgt.SessionManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.web.filter.AccessControlFilter;
import org.apache.shiro.web.util.WebUtils;

import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import java.io.Serializable;
import java.util.Deque;
import java.util.LinkedList;

/**
 * <p>User: Zhang Kaitao
 * <p>Date: 14-2-18
 * <p>Version: 1.0
 */
public class KickoutSessionControlFilter extends AccessControlFilter {

    private String kickoutUrl; //踢出后到的地址
    private boolean kickoutAfter = false; //踢出之前登錄的/之后登錄的用戶 默認踢出之前登錄的用戶
    private int maxSession = 1; //同一個帳號最大會話數 默認1

    private SessionManager sessionManager;
    private Cache<String, Deque<Serializable>> cache;

    public void setKickoutUrl(String kickoutUrl) {
        this.kickoutUrl = kickoutUrl;
    }

    public void setKickoutAfter(boolean kickoutAfter) {
        this.kickoutAfter = kickoutAfter;
    }

    public void setMaxSession(int maxSession) {
        this.maxSession = maxSession;
    }

    public void setSessionManager(SessionManager sessionManager) {
        this.sessionManager = sessionManager;
    }

    public void setCacheManager(CacheManager cacheManager) {
        this.cache = cacheManager.getCache("shiro-kickout-session");  50     }

    @Override
    protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {
        return false;
    }

    @Override
    protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
        Subject subject = getSubject(request, response);
        if(!subject.isAuthenticated() && !subject.isRemembered()) {
            //如果沒有登錄，直接進行之后的流程
            return true;
        }

        Session session = subject.getSession();
        String username = (String) subject.getPrincipal();
        Serializable sessionId = session.getId();

        //TODO 同步控制
        Deque<Serializable> deque = cache.get(username);
        if(deque == null) {
            deque = new LinkedList<Serializable>();
            cache.put(username, deque);
        }

        //如果隊列里沒有此sessionId，且用戶沒有被踢出；放入隊列
        if(!deque.contains(sessionId) && session.getAttribute("kickout") == null) {
            deque.push(sessionId);
        }

        //如果隊列里的sessionId數超出最大會話數，開始踢人
        while(deque.size() > maxSession) {
            Serializable kickoutSessionId = null;
            if(kickoutAfter) { //如果踢出后者
                kickoutSessionId = deque.removeFirst();
            } else { //否則踢出前者
                kickoutSessionId = deque.removeLast();
            }
            try {
                Session kickoutSession = sessionManager.getSession(new DefaultSessionKey(kickoutSessionId));  91                 if(kickoutSession != null) {
                    //設置會話的kickout屬性表示踢出了
                    kickoutSession.setAttribute("kickout", true);
                }
            } catch (Exception e) {//ignore exception
            }
        }

        //如果被踢出了，直接退出，重定向到踢出后的地址
        if (session.getAttribute("kickout") != null) {
            //會話被踢出了
            try {
                subject.logout();
            } catch (Exception e) { //ignore
            }
            saveRequest(request);
            WebUtils.issueRedirect(request, response, kickoutUrl);
            return false;
        }

        return true;
    }
}

 

3.測試

因為此處設置maxSession=2，所以需要打開3個瀏覽器。分別訪問：http:l//ocalhost:8080/chapter18 進行登錄。

然后刷新第一次打開的瀏覽器，將會被強制退出。

 

4.遇到的問題

（1）there is no session Id ***

報錯：there is no session Id ***。

原因：我沒有在ehcache.xml里配置"shiro-kickout-session"。

因為kickoutController里用到了：

    public void setCacheManager(CacheManager cacheManager) {
        this.cache = cacheManager.getCache("shiro-kickout-session");
    }

 

所以在ehcache.xml中一定記得加上（名字匹配即可）：

　　<cache name="shiro-kickout-session"
           eternal="false"
           timeToIdleSeconds="3600"
           timeToLiveSeconds="0"
           overflowToDisk="false"
           statistics="true">
    </cache>

 

（2）sessionKey must be an HTTP compatible implementation

報錯：sessionKey must be an HTTP compatible implementation。

原因：我的sessionManager和示例代碼中的sessionManager不同，示例中用的是DefaultWebSessionManager，我用的是ServletContainerSessionManager。

代碼中這一句報的錯誤：

 Session kickoutSession = sessionManager.getSession(new DefaultSessionKey(kickoutSessionId));

 

sessionManager.getSession時，因為sessionManager的類類型是ServletContainerSessionManager，所以會進行一個http判定。

參考來自：http://blog.csdn.net/qq_26946497/article/details/51064654?locationNum=3

 public Session getSession(SessionKey key) throws SessionException {
        if (!WebUtils.isHttp(key)) { //判斷是不是http的key，否則拋異常
            String msg = "SessionKey must be an HTTP compatible implementation.";  5             throw new IllegalArgumentException(msg);
        }
        ...
    }

 

最后的解決辦法：不存放sessionId在deque中，直接存放Session。又可以跳過通過sessionId獲取session這一步，直接從deque中拿到之前保存的session。

//修改前
Deque<Serializable> deque = cache.get(username);
deque.push(sessionId);
kickoutSessionId = deque.removeLast();
Session kickoutSession = sessionManager.getSession(new DefaultSessionKey(kickoutSessionId));

//修改后
Deque<Session> deque = cache.get(username);
deque.push(session);
kickoutSession = deque.removeLast();

 

（3）沒有增加鎖

　　synchronized (this.cache) {
       Deque<Session> deque = cache.get(usernameTenant);
       ...
　　}
    //如果被踢出了，直接退出，重定向到踢出后的地址
    if (session.getAttribute(KICK_OUT) != null && session.getAttribute(KICK_OUT) == true) {
　　...

 

（4）動態設定是否需要kickout

在配置文件中，設置參數 kickout = false。然后在kickoutController里拿到這個參數的值。

　　protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
        if("false".equals(kickout)){
            //如果不需要單用戶登錄的限制
            return true;
        }
        ...
}

 

5.CacheManager和SessionManager詳解

（1）CacheManager

示例中的配置文件：

-> ehcache.xml 
-> ehcacheManager（EhCacheManagerFactoryBean）
-> springCacheManager（EhCacheCacheManager） 
-> cacheManager（SpringCacheManagerWrapper） 
-> 其他bean里使用

 

我的配置文件：

-> ehcache.xml 
-> ehcacheManager（EhCacheManagerFactoryBean）
-> cacheManager（EhCacheCacheManager） 
-> springCacheManager（SpringCacheManagerWrapper）
-> 其他bean里使用

 

所以名字都是浮雲，重點是從cacheManager的構成：

-> ehcache.xml 
-> EhCacheManagerFactoryBean 
-> EhCacheCacheManager 
-> SpringCacheManagerWrapper  
-> 其他bean使用

 

詳細配置如下：

 1 spring-config-shiro.xml  2 　　<bean id="cacheManager" class="com.github.zhangkaitao.shiro.spring.SpringCacheManagerWrapper">  3 <property name="cacheManager" ref="springCacheManager"/>  4 　　</bean>  5  6　　 <bean id="credentialsMatcher" class="com.github.zhangkaitao.shiro.chapter18.credentials.RetryLimitHashedCredentialsMatcher">  7 <constructor-arg ref="cacheManager"/>  8  ...  9 </bean> 10 11 <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager"> 12 <property name="sessionManager" ref="sessionManager"/> 13 <property name="cacheManager" ref="cacheManager"/> 14  ... 15 </bean> 16 17 　　 <bean id="kickoutSessionControlFilter" class="com.github.zhangkaitao.shiro.chapter18.web.shiro.filter.KickoutSessionControlFilter"> 18 <property name="cacheManager" ref="cacheManager"/> 19 <property name="sessionManager" ref="sessionManager"/> 20  ... 21 </bean> 22 23  spring-config-cache.xml 24 　　<bean id="springCacheManager" class="org.springframework.cache.ehcache.EhCacheCacheManager"> 25 <property name="cacheManager" ref="ehcacheManager"/> 26 　　</bean> 27 28 　　<bean id="ehcacheManager" class="org.springframework.cache.ehcache.EhCacheManagerFactoryBean"> 29 <property name="configLocation" value="classpath:ehcache/ehcache.xml"/> 30 　　</bean>

 

（2）SessionManager

SessionManager是一個接口。

public interface SessionManager {
    Session start(SessionContext sessionContext);
    Session getSession(SessionKey sessionKey) throws SessionException;
}

 

類結構圖如下：

 

Shiro提供了三個默認實現：

DefaultSessionManager：DefaultSecurityManager使用的默認實現，用於JavaSE環境；

ServletContainerSessionManager：DefaultWebSecurityManager使用的默認實現，用於Web環境，其直接使用Servlet容器的會話；

DefaultWebSessionManager：用於Web環境的實現，可以替代ServletContainerSessionManager，自己維護着會話，直接廢棄了Servlet容器的會話管理。

 

示例中：配置文件spring-config-shiro.xml中使用的是DefaultWebSessionManager。

 1<!-- 會話管理器 -->
 3     <bean id="sessionManager" class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager">
 4     ...
 5     </bean>
 6 
 7     <!-- 安全管理器 -->
 8     <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
 9         <property name="sessionManager" ref="sessionManager"/>
10         <property name="cacheManager" ref="cacheManager"/>
11         ...
12     </bean>
13     
13     <!-- 並發登錄控制 -->
14     <bean id="kickoutSessionControlFilter" class="com.github.zhangkaitao.shiro.chapter18.web.shiro.filter.KickoutSessionControlFilter">
15         <property name="cacheManager" ref="cacheManager"/>
16         <property name="sessionManager" ref="sessionManager"/>
17          ...
18     </bean>

 

我的項目中：配置文件applicationContext-shiro.xml中沒有進行sessionManager的配置（為了共享session），所以使用的是shiro的默認實現：ServletContainerSessionManager。（或者運行代碼時，可以去看sessionManager的類類型）

　　<!--文件中沒有sessionManager的配置-->

　　<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <property name="cacheManager" ref="springCacheManager"/>
        <!--這里沒有配置sessionManager-->
        ...
    </bean>

　　<bean id="kickoutSessionControlFilter" class="com.baosight.common.filter.KickoutSessionControlFilter">
        <property name="cacheManager" ref="springCacheManager"/>
         <!--這里沒有配置sessionManager-->
         ...
    </bean>

 

而這兩種實現（DefaultWebSessionManager 和 ServletContainerSessionManager）的區別以及源碼分析：

http://blog.csdn.net/qq_26946497/article/details/51064654?locationNum=3

注意：沒有配置SessionManager時，默認為ServletContainerSessionManager。